Plex sotto attacco: gli hacker installano miner di criptovalute sui server non aggiornati
Se utilizzi Plex Media Server per guardare film, serie TV o video archiviati su un NAS, un mini PC o un computer di casa, c’è un problema di sicurezza che non dovresti sottovalutare. Alcuni hacker stanno sfruttando una catena di quattro vulnerabilità per prendere il controllo di installazioni non aggiornate e utilizzare le risorse dei server per attività estranee al proprietario. Tra i programmi malevoli individuati ci sono miner di criptovalute e software capaci di trasformare la connessione della vittima in un proxy utilizzabile da terzi.
La tecnica è stata chiamata Plex2Shell. È particolarmente pericolosa perché, sui sistemi vulnerabili raggiungibili da Internet, può consentire l’esecuzione di codice da remoto senza disporre delle credenziali di accesso. La buona notizia è che Plex ha già distribuito una correzione: la versione 1.43.3.10861 include le modifiche necessarie contro questa catena di attacco. Il problema riguarda soprattutto chi non ha ancora aggiornato il server.
Come funziona l’attacco Plex2Shell
Plex2Shell non si basa su un singolo errore del software. Gli aggressori combinano quattro vulnerabilità, identificate come CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656, per superare progressivamente le protezioni del server.
La catena può partire da richieste di rete manipolate e arrivare all’accesso a funzionalità interne, all’ottenimento di un token amministrativo e alla scrittura di un file in una posizione dalla quale il servizio può eseguire codice. In questo modo un aggressore può installare un programma senza dover effettuare un normale accesso all’interfaccia di amministrazione.
Il ricercatore Zach Main ha descritto pubblicamente la tecnica il 16 ottobre 2026, dopo aver segnalato le vulnerabilità a Plex nei mesi precedenti. La pubblicazione dei dettagli tecnici e di una dimostrazione del problema ha reso ancora più urgente aggiornare le installazioni rimaste esposte.
I server vengono utilizzati per minare criptovalute e nascondere traffico Internet
Un ricercatore che gestiva un server esca, chiamato honeypot, ha osservato tentativi di attacco contro una versione vulnerabile di Plex e l’installazione di programmi malevoli. Tra i componenti individuati figurano un miner riconducibile a XMRig e un programma di proxy denominato myawesomeproxy.
Il miner sfrutta la potenza di calcolo del computer per generare criptovalute a beneficio dell’aggressore. Per il proprietario questo può tradursi in un utilizzo anomalo della CPU, consumi energetici maggiori, ventole sempre attive e un peggioramento delle prestazioni durante la riproduzione dei contenuti.
Il proxy rappresenta un rischio differente: permette a soggetti esterni di instradare traffico attraverso la connessione Internet della vittima, facendo apparire alcune attività come provenienti dall’indirizzo IP domestico o aziendale del server compromesso. Non è quindi soltanto una questione di prestazioni: una macchina vulnerabile può diventare parte dell’infrastruttura utilizzata da altri criminali informatici.
Quanti server Plex sono davvero in pericolo?
Secondo dati attribuiti alla Shadowserver Foundation, a metà ottobre risultavano ancora esposti quasi 49.000 sistemi Plex classificati come vulnerabili, con concentrazioni importanti in Nord America e in Europa. Il numero descrive la superficie di attacco individuata dalle scansioni, non il totale delle macchine effettivamente violate.
Le infezioni documentate pubblicamente dimostrano che il rischio non è soltanto teorico, ma non permettono di stabilire che decine di migliaia di server siano già stati compromessi. È una distinzione fondamentale: un sistema vulnerabile è un possibile bersaglio, mentre un sistema compromesso è una macchina sulla quale l’attaccante è riuscito a intervenire.
L’esposizione può riguardare computer domestici, NAS e server Linux o Windows configurati per consentire l’accesso remoto alla libreria multimediale. Chi ha pubblicato direttamente il servizio su Internet deve prestare particolare attenzione alla versione installata.
Leggi anche:
Come verificare la versione di Plex e installare l’aggiornamento
La prima operazione è controllare la versione di Plex Media Server dalle impostazioni del server e installare l’ultima release disponibile. Per le vulnerabilità Plex2Shell, la versione corretta di riferimento è 1.43.3.10861: le installazioni precedenti devono essere aggiornate.
Se utilizzi Plex su un NAS, non dare per scontato che l’app store del produttore abbia già installato la versione più recente. Controlla il numero di build effettivamente in esecuzione e, se necessario, segui le istruzioni ufficiali del produttore e di Plex. Su Docker non è sufficiente riavviare un vecchio container: occorre recuperare un’immagine aggiornata e ricrearlo conservando correttamente i dati persistenti.
Se non ti serve l’accesso remoto, valuta di disabilitarlo. Ridurre i servizi esposti direttamente su Internet limita le opportunità di attacco, anche se non sostituisce l’installazione delle patch.
Cosa fare se sospetti che il tuo server sia già stato violato
Un utilizzo insolitamente elevato della CPU, processi sconosciuti, download non autorizzati o modifiche impreviste alla configurazione possono essere segnali di compromissione. Controlla inoltre i processi avviati dall’utente di sistema che esegue Plex e gli eventuali programmi comparsi dopo attività di transcodifica.
Aggiornare Plex è necessario, ma potrebbe non bastare a rimuovere un malware già installato. Se trovi indizi concreti di un’intrusione, scollega temporaneamente il server dalla rete, conserva i log utili per le verifiche e valuta un ripristino da un sistema sicuramente pulito. Cambia le password e revoca o rigenera i token e le chiavi che potrebbero essere stati esposti.
Se il server conserva altri dati o condivide la macchina con servizi importanti, considera anche una verifica degli accessi e delle autorizzazioni di tali servizi. In un ambiente aziendale è opportuno coinvolgere il responsabile della sicurezza prima di cancellare file che potrebbero costituire prove dell’incidente.
Perché l’attacco a Plex riguarda anche chi lo usa soltanto in casa
Plex viene spesso considerato un semplice programma per organizzare la propria collezione di film e serie TV. In realtà, quando il server è raggiungibile da Internet, diventa un servizio di rete e deve essere protetto con la stessa attenzione riservata a qualsiasi altra applicazione esposta.
La vicenda Plex2Shell mostra quanto rapidamente una vulnerabilità già corretta possa diventare un problema reale per chi rimanda gli aggiornamenti. La pubblicazione dei dettagli tecnici dell’attacco è stata seguita da tentativi di sfruttamento osservati sul campo. Se gestisci un server Plex, la priorità è controllare subito la versione e verificare che non siano presenti segnali di attività sospetta.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.